Anas HDR VF

Scurit des rseaux et infrastructures critiques
Anas ABOU EL KALAM
Plan
Parcours Modles et politiques de scurit pour les infrastructures critiques Modlisation des recommandations Mise en uvre de politiques de scurit et de QoS valuation des outils de scurit Conclusions et perspectives
Jeudi 03 dcembre 2009 Soutenance HDR - Abou El Kalam 2
Plan
Parcours
Dc. 2003- Sept. 2004: ATER 2004-2007 : Matre de Confrence lENSI de Bourges.
Responsable du Dpartement Informatique. Responsable de loption "Scurit des Systmes et des rseaux"
Depuis 2007 : Matre de Confrence lInstitut National Polytechnique

Membre lu au conseil du laboratoire Membre lu au conseil du dpartement Activits de recherche et denseignement en scurit des rseaux.
Formations initiale & continue, IPST-CNAM, DGA, ...

Parcours
valuation des outils scurit
Thse M. Gad Collaboration gypte, ...
Scurit des Rseaux Critiques

Thse M. Mostafa ADCN, ADCN+, ...
Scurit des Infrastructures Critiques

Thse A. Bana Projet europen CRUTIAL
Scurit des Rseaux sans-fil, NGN

Thse Maachaoui Feel@Home Thse K. Salih NoE NewCom++
Scurit des Rseaux critiques
Scurit des Rseaux & Infrastructures critiques

Plan
Centre de Contrle
Centre de Contrle
Coopration malgr concurrence/mfiance Interoprabilit, partage donnes & services Indpendance et autonomie
Jeudi 03 dcembre 2009
Soutenance HDR - Abou El Kalam
Modles de scurit pour les IC

Politiques de scurit Rgles de scurit qu'une organisation impose pour son fonctionnement
Spcifie par ... Objectifs de scurit Rgles pour satisfaire ces objectifs
Implmente par ...

Mcanismes d'authentification Mcanismes de contrle d'accs ....
Associe ... Modle de scurit

OrBAC
Niveau Abstrait politique Rle
Permission
Activit
Contexte
Vue
Organisation
Niveau Concret
Action
Sujet
Jeudi 03 dcembre 2009 Soutenance HDR - Abou El Kalam
Objet
9
OrBAC
Niveau Abstrait politique Rle
Permission
Activit
Contexte
Vue
Organisation
Niveau Concret
Action
Sujet
Est_permis
Objet
10
10
OrBAC
orgOrganisations, sSujets, Actions, oObjets, rRles, aActivits, vvues, cContextes
Permission (org, r, v, a, c)
Habilite (org, s, r) Considre (org, , a) Utilise (org, o, v) Dfinit (org, s, , o, c) Est_permis (s, , o)
11
11
Avantages
OrBAC
Sparation entre politique et droits concrets Mises jours Instanciation des rgles Rgles de scurit fines Dynamicit Prise en compte composants SI ...
Complexit ?
Oprations de prise de dcision d'accs Cots des mises jour Risques d'erreurs
12
OrBAC
Est-ce adapt notre contexte ?
Pas de mcanismes dinteraction entre organisations !!

Contrle daccs intra-organisation Collaboration inter-organisations Vrification temps rel des interactions
13
PolyOrBAC
Thse Amine Baina Projet europen CRUTIAL
Intra-organisation
Politiques locales spcifies avec OrBAC Chaque organisation
Est autonome et indpendante Authentifie ses utilisateurs Est responsable pour les actions de ses utilisateurs Protge ses ressources et donnes
14
PolyOrBAC : Interactions avec des SW

Technologie des SW
Mcanismes normaliss, simples, facile d'utilisation, ... Fournir ressources internes // Accs ressources externes Sans divulguer larchitecture interne
Recherche de services
UDDI
description du service Publication de service
Requte /Rponse du service

Jeudi 03 dcembre 2009 Soutenance HDR - Abou El Kalam
Service 1
15
Organisation cliente
Registre UDDI
Organisation prestataire SW1
Ngociation
16
16

Contrat
SW1
Organisation prestataire
Contrat
Dfinit protocoles, fonctions, responsabilits, paramtres, pnalits, ... Organisation prestataire fournir le service selon le contrat Organisation cliente responsable des actions de ses utilisateurs
17
Comment grer SW distant au niveau de lorganisation cliente ?
Organisation prestataire SW1
Image_SW1
Objet
Image de SW Reprsentation (cot client) du SW distant afin de le grer localement dans la politique de scurit du client
18
Organisation prestataire
PEP
Vrification daccs Image_SW1
SW1
Objet
Politique OrBAC du client

Lappel du SW est une activit externe, reprsente par un objet local virtuel (Image_SW1), accessible par des rles spcifiques locaux Chaque organisation authentifie ses utilisateurs localement Lorganisation client est responsable des actions de ses utilisateurs
19
Comment grer utilisateurs distant au niveau de lorganisation prestataire ?
Organisation prestataire SW1 Utilisateur virtuel 1
Utilisateur Virtuel
Reprsentation de lutilisateur distant cot prestataire, virtualiser laccs distant afin de le grer comme un accs local au niveau du prestataire
20
SW1
Utilisateur virtuel 1
Vrification daccs
PEP
Politique OrBAC du fournisseur

Le SW est une activit interne Accessible par organisation cliente ( travers utilisateur virtuel local) Avec rle(s) ayant permission dexcuter le SW Lorganisation fournisseur est responsable de ses services
21
PolyOrBAC : vrification des interactions

Organisations mutuellement mfiantes
Org. Cliente ==> Org. Prestataire ==>
Abuse de l'utilisation du service Ne fournit pas le service prvu avec la qualit escompte
Vrification de la lgitimit des actions ?

Conformit action <==> contrat Sinon, collecter infos ==> Dsigner (en TEMPS REEL) le responsable + chemin ...
Automates temporiss
Dcrire les comportements de systmes // interactions Effectuer vrifications Jeudi 03 dcembre 2009 Soutenance HDR - Abou El Kalam Statiques, model checking, simulations, ...
22
22
PolyOrBAC : vrification des interactions

Permissions Interdictions
Obligations
Conflits
23
23
Passerelle
Contrat
Passerelle
Vrification contrat
Vrification contrat SW1
Utilisateur local
Objet Client Prestataire
- Le contrat ngoci est stock au niveau des deux interfaces - Chaque Interface surveille le respect du contrat.
24
PolyOrBAC : Rcpitulatif
Politiques de scurit
modle OrBAC
Interactions
Mcanismes de services Web Image de service Utilisateur virtuel
Vrification des interactions (en excution)

Contrats + automates temporiss
25
25
Plan
Recommandations
Recommandations du North american Electric Reliability Council Recommandations du International Risk Governance Council Recommandations du General Assembly of United Nations Recommandations du Council of Europe Directives du European Parliament ...
27
27
Extension de la logique modale

==>
Recommandations : logique dontique
==> Permissions xF : il existe une valeur possible de x tel que F est vrai .. ==> ==> Obligations ==> Interdictions
Conditions de vrit
M,w |= Of [w, w R w] M,w|=f f est vrai dans tous les mondes accessibles partir de w M,w |= Pf [w, w R w] M,w|=f il existe au moins un monde accessible partir de w o f est vrai M,w |= If [w, w R w] M,w|=f f nest vrai dans aucun des mondes accessibles partir de w O[Ecrire(Sam, f1.txt)] Ecrire(Sam, f1.txt) w1 Habilite(org, Alice, Infirmire) Ecrire(Sam, f1.txt) Crer(Bob, Prescription) 28
P[Crer(Bob, Prescription)]
w2 I[Habilite (org, Alice, Infirmire) ] Jeudi 03 dcembre 2009 Soutenance HDR - Abou El Kalam
Habilite(org, Alice, Infirmire)
RSL : syntaxe
F I
P R
Syntaxe
::= p | | ( ) | O | R
Exemples
R(Read, Bob, Guide)
Il est recommand que Bob lise le guide d'utilisation

Il est dconseill d'excuter les versions antrieures
I(Execute, Bob, OldVersion)
Il est recommand de ne pas excuter versions antrieures

I = R
29
RSL : axiomatique
Exemple de formules qui doivent tre valides dans notre modle
O R R P F I I P (R R) (R I)
...
30
RSL : Smantique
Semantique (dfinitions intuitives)
Model: = (W,,V)
est Obligatoire l'tat x dans dans TOUS les tats y / xy, est vrai {y: V(y)} couvre entirement (x)
est permis l'tat x dans
dans CERTAINS tats y / xy, est vrai
{y: V(y)} couvre partiellement (x)
is recommand l'tat x dans dans la PLUPART des tats y / xy, vrai {y: V(y)} couvre une grande partie de (x)
est dconseill ...

dans la PLUPART des tats y / xy, N'EST PAS vrai

Soutenance HDR - Abou El Kalam 31
{y: V(y)} couvre une petite partie de (x)
RSL : Smantique
Couvre partiellement Couvre entirement
F I
Couvre une petite partie
P R
Couvre une large partie
Semantique Model: = (W, , , V)
: fonction de voisinage
associe, chaque tat x, un ensemble (x) de sous-ensembles de (x) ==> ensemble des recommandations dans x
(x) contient l'ensemble des sous-tats larges de (x)
RSL : Smantique
State y1
State x
p
State y2
p * q *
State y3
p q * * s *
(x)= {{y1,y2},{y2,y3},{y1,y3},{y1,y2,y3}} {y2,y3} (x) est un sous ensemble large de (x), q est recommend l'tat x
RSL : formules
Formules basiques
O ( ) (O O) Axiom () O ( ) (R R) O R P O = F P = E F I E
Exemples de formules derivables / valides
O O O( ) O R R( ) O P P( )
34
Plan
Parcours
valuation des outils scurit

Warodom, Maachaoui Feel@Home Thse K. Salih NoE NewCom++



Mise en uvre de politique de scurit & QoS 1. Introduction

Problme 1 Pas de garantie de scurit
Problme 2 IP traite tout le monde de manire indiffrencie Toutes les donnes traversent un rseau IP sont routes de manire quivalente en "best effort"
37
Mise en uvre de politique de scurit & QoS

IPSec (RFC 2401)
AH (Authentification Header)
ESP (Encapsulating Security Payload)
38

QoS Vs IPSec IPSec ESP ne permet pas la QoS Garantir QoS ==> identifier et caractriser le trafic lintrieur des rseaux Classification Niveau rseau: Adresse IP source Adresse IP destination Niveau transport (TCP/UDP): Port source Destination port Identifiant de protocole
39

Q-ESP: QoS-friendly ESP
Entte Q-ESP
Trailer Q-ESP
ME = { Mp || Tr }KE
ICV = H(MH || ME || Src IP || Dst IP)KA
40

Transport Layer Protocol Receiving Transport Layer Protocol Sending
Local Process
Routing
Forward Routing
qesp_input() ip_input() Open crypto
qesp_output() ip_output() Open crypto
NIC Receiving
NIC Sending 41
Data Link Layer

Q-ESP: Implementation
Trafic HTTP protg par Q-ESP en mode tunnel.
Identifiant du Protocol
Source port = 80 (HTTP)
TLP = 06 (TCP)
Reserved = 00
42

Q-ESP: Evaluation Deux plateformes de tests
Comparer entre IPSec ESP et Q-ESP en terme de temps de traitement. Prouver que ces deux protocoles sont quivalents dans un environnement Best-Effort
Mesurer les mtriques QoS pour un flux temps rel protg par ESP/Q-ESP dans une situation de congestion. Prouver exprimentalement que Q-ESP supporte la QoS.
43
Test 1
Test 2

Q-ESP: Evaluation Test avec ping et loutil MGEN, en utilisant diffrent algorithmes
DES-CBC et HMAC-SHA1 3DES-CBC et HMAC-SHA1 BLOWFISH-CBC et HMAC-SHA1 AES et HMAC-SHA1
44

Q-ESP: Evaluation
Mesure du RTT
AES & HMAC-SHA1
4 3,5 3 2,5 2 1,5 1 0,5 0 64 128 256 512 1024 2048 Packe t size (Bytes)
Time (ms)
ESP QESP
45

Q-ESP: Evaluation
.
Mesure de dbit (Throughput)

AES & HMAC-SHA1
3500 Throughput (Kbps) 3000 2500 2000 1500 1000 500 0 64 128 256 512 1024 2048 4096 Packe ts sizes (Byte s) ESP QESP
Taille des paquets 64 128 256 512 1024 2048 4096
ESP
Q-ESP 51.243 102.366 204.715 409.600 819.268 1638.127 3275.435 51.191 102.366 204.834 409.463 818.654 1637.444 3275.162
46

Q-ESP: Evaluation Mesure des mtriques QoS pour ESP et Q-ESP sans traitement QoS Q-ESP avec traitement diffrenci. Situation de congestion avec les algorithmes AES et HMAC-SHA1.
47

Q-ESP: Evaluation
Packets Latency
350 300 . 250 200 150 100 50 0 100 200 300 400 500 600 700 800 900 1000 Fre que ncy (Pa ckets/s) ESP without QoS processing Q-ESP without QoS processing Q-ESP with QoS processing
Packets Throughput
450 400 350 300 250 200 150 100 50 0 100 200 300 400 500 600 700 800 900 1000
(ms)
(Kbps) .
Q-ESP without QoS processing Q-ESP with QoS processing ESP without QoS processing
Frequency (Packe ts/s)
48

Q-ESP: Evaluation
Packets Loss
0,8 0,7 0,6 0,5 0,4 0,3 0,2 0,1 0 100 200 300 400 500 600 700 800 900 1000 Frequency (Packe ts/s)
Percentage (%)
ESP without QoS processing Q-ESP without QoS processing Q-ESP with QoS processing
49
Plan
Parcours
valuation des IDS

Warodom, Maachaoui Feel@Home Thse K. Salih NoE NewCom++



valuation des IDS Comment valuer l'efficacit / robustesse outils de scurit (IDS) IDS ?
Crer des donnes ralistes de test ... Traffic de fond Traffic malveillant
Deux problmes Classifier de manire pertinente les attaques ? Gnrer des scnarios reprsentatifs d'attaques ?
valuation des IDS

Classification des attaques
53
valuation des IDS

Processus d'attaques
Incidents de scurit : manque de donnes Donnes de processus d'attaques : incompletes
Analyse d'attaques automatiques (viruses et vers) Donnes disponibles Complets, self contained attack Ide sur le processus complet
54
valuation des IDS

Processus d'attaques
Exemples
Scenario(XSS) = {R, GA, EP} Scenario(Mitnick) = {GA, IMC, EP}

valuation des IDS Gnration trafic d'attaques

Transformer scnarios abstraits en squences excutables - Mappage : tapes abstraites <==> commandes / outils capables de les raliser
R ==> (nessus, nmap, ping, traceroute, etc.) VB ==> (ls, ps, uname, etc.) AG ==> (SSH, telnet, execute a metasploit vulnerability, etc.) CDI ==> (cp, rm, mv, edit fichier config, change var environment) EP ==> (malicious, crontab, lynx, nc, etc.) TH ==> (rm log, kill syslog, kill antivrirus process etc.) DoS ==> (shutdown halt, crash system, stop service, etc.) IMC ==> ( scp malicious, ftp malicious, xecuter metasploit avec
payload malveillant, ...)
valuation des IDS
Exemple : commande ping : Source : distante ; Privilge obtenu : aucun ; Vulnrabilit : configuration ; Porteur : rseau, niveau transport ; Cible : Pile rseau ; tape de l'attaque : Reconnaissance.
57
valuation des IDS Architecture & Implmentation
58
valuation des IDS Plateforme de test
Benchmarking Bro & Snort

Unregistered rules : rgles fournies par les membres non-enregistrs sur le site de Snort, Registered rules : rgles fournies par les membres enregistrs sur le site de Snort, Community rules : rgles mises jour rgulirement par la communaut de Snort, Community + Unregistered rules, Community + Registered rules, Emerging rules : rgles gratuites fournies par la communaut open-source Emerging threats Jeudi 03 dcembre 2009 Soutenance HDR - Abou El Kalam 59 Best : ensemble de toutes les rgles prcdentes
valuation des IDS Rsultats de qlq tests de snort

Attaques contre IIS
aucune des rgles gratuites ne permet de les dtecter toutes les diffrences entre les capacits de dtection des diffrents ensembles de rgles restent trs minimes la combinaison de touts les ensembles ne permet de dtecter qu'une attaque de plus par rapport aux rgles fournies par les membres non-enregistrs.
Attaques contre services Windows

Registred rules sont nettement mieux que les Unregistred rules + Community rules ; Community + registred ont le mme taux de dtection que l'ensemble de toutes les rgles
Mme dans les meilleurs cas, 50 % des exploits ne sont pas dtects ! aucun des ensembles des rgles ne permet de dtecter les exploits rcents !
Attaques contre Savant

Dtecte mais mal identifi

valuation des IDS Rsultats de qlq tests de Bro

Attaques contre IIS
Bro dtecte 5 sur les 9 exploits injects *... meilleur que Snort
Attaques contre les services Windows

Bro ne dtecte aucune des attaques !
61
Plan
Conclusions
PolyOrBAC
grer, de manire scurise, les interactions entre des organisations qui collaborent dans un environnement de suspicion mutuelle, distribu, htrogne et dynamique
OrBAC SW Automates temporels et model checking RSL Syntaxe Smantique Axiomatique & rgles d'infrence Q-ESP Scurit & QoS AIT Evaluation des IDS Classification Jeudi 03 dcembre 2009 Processus d'attaques
63
Conclusions
Enseignements + (LAAS ==> ENSIB ==> INP)
S.I. Prvention
tio n n ca tio n at io
Elimination
Im pl m en ta v tio al n ua tio n
od
Sp c
Politiques de scurit
V r
i fi
Systmes
lis a
Rseaux
ifi c
Protocoles rseau
64
Perspectives
PolyOrBAC Intgrit Disponibilit Systmes distribus Q-ESP Applications : avionique, VoIP, ... Rseaux : NGN, MPLS, ...
Thse H. Ait Lahcen
Projet IMAP
Projet Feel@Home
Thse Maachaoui
valuation IDS Contexte sans-fil ...
Projet Newcom++
Thse K. Salih
65
Merci
Questions
66
Evaluation des IDS
Sonde
Non capture des ventements intrusifs
vnements malicieux hors de la porte de la sonde. Evnements masqus Suppression dvnements
Intrusion non vue
Intrusions non vues ou vues partiellement Dfaillance du dtecteur
Pr-processeur
Suppression dinformations utiles Non dtection des vnements intrusifs capturs vnements non intrusifs considrs comme intrusifs Mauvaise identification
Format non appropri. Information insuffisante de la part de la sonde Dfaillance du prprocesseur. Dfaillance de lalgorithme de dtection Dfaillance de lalgorithme de dtection
Dtecteur
Faux ngatifs
Faux positifs Rapport incorrect
Rapporteur
Alarme non gnre
Mauvaise configuration
Faux ngatifs
67
68

Anas HDR VF

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Anas HDR VF

Transféré par

Droits d'auteur :

Formats disponibles

Scurit des rseaux et infrastructures critiques

Anas ABOU EL KALAM

Depuis 2007 : Matre de Confrence lInstitut National Polytechnique

Formations initiale & continue, IPST-CNAM, DGA, ...

Scurit des Rseaux Critiques

Scurit des Infrastructures Critiques

Scurit des Rseaux sans-fil, NGN

Scurit des Infrastructures Critiques

Scurit des Rseaux critiques

Scurit des Rseaux & Infrastructures critiques

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

Modles de scurit pour les IC

Implmente par ...

Associe ... Modle de scurit

Soutenance HDR - Abou El Kalam

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

Pas de mcanismes dinteraction entre organisations !!

PolyOrBAC : Interactions avec des SW

description du service Publication de service

Requte /Rponse du service

PolyOrBAC : Interactions avec des SW

Organisation prestataire SW1

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

PolyOrBAC : Interactions avec des SW

Comment grer SW distant au niveau de lorganisation cliente ?

Organisation prestataire SW1

Politique OrBAC du client

Comment grer utilisateurs distant au niveau de lorganisation prestataire ?

Organisation prestataire SW1 Utilisateur virtuel 1

Politique OrBAC du fournisseur

PolyOrBAC : vrification des interactions

Vrification de la lgitimit des actions ?

PolyOrBAC : vrification des interactions

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

Vrification contrat SW1

Objet Client Prestataire

Vrification des interactions (en excution)

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

Extension de la logique modale

Recommandations : logique dontique

Habilite(org, Alice, Infirmire)

R(Read, Bob, Guide)

Il est recommand que Bob lise le guide d'utilisation

I(Execute, Bob, OldVersion)

Il est recommand de ne pas excuter versions antrieures

Jeudi 03 dcembre 2009

Exemple de formules qui doivent tre valides dans notre modle

Jeudi 03 dcembre 2009

Soutenance HDR - Abou El Kalam

Semantique (dfinitions intuitives)

est permis l'tat x dans

dans CERTAINS tats y / xy, est vrai

{y: V(y)} couvre partiellement (x)

est dconseill ...

dans la PLUPART des tats y / xy, N'EST PAS vrai

{y: V(y)} couvre une petite partie de (x)